Fortinet patcht kritische RCE-Lücken in FortiSandbox und FortiAuthenticator (CVSS bis 9,8)
Fortinet hat am 10. Juni 2026 Patches für drei kritische Schwachstellen veröffentlicht. Betroffen sind FortiSandbox (CVSS 9,8) und FortiAuthenticator (CVSS 9,1) – unauthentifizierte Angreifer können in beiden Fällen Remote Code Execution erzielen. Sofortiges Update wird empfohlen.
Fortinet hat am 10. Juni 2026 im Rahmen seines regulären Patchzyklus Sicherheitsupdates für drei kritische Schwachstellen veröffentlicht. Betroffen sind die Produkte FortiSandbox, FortiSandbox Cloud, FortiSandbox PaaS sowie FortiAuthenticator. Alle drei Lücken ermöglichen es unauthentifizierten Angreifern, aus der Ferne beliebigen Code oder Systembefehle auszuführen – ohne vorherige Anmeldung. Aktive Ausnutzung war zum Zeitpunkt der Veröffentlichung nach Angaben von Fortinet nicht bekannt, der Schweregrad der Schwachstellen macht einen schnellen Patch-Einsatz dennoch zwingend erforderlich.
Die Schwachstellen im Detail
Fortinet bestätigt drei separate CVEs, die allesamt ohne Authentifizierung aus dem Netz ausgenutzt werden können:
| CVE | CVSS | Produkt | Schwachstellentyp |
|---|---|---|---|
CVE-2026-25089 | 9,8 (kritisch) | FortiSandbox, FortiSandbox Cloud, FortiSandbox PaaS | OS-Command-Injection via HTTP |
CVE-2026-26083 | 9,1 (kritisch) | FortiSandbox | Missing Authorization – unauthentifizierte Code-/Befehlsausführung |
CVE-2026-44277 | 9,1 (kritisch) | FortiAuthenticator | Improper Access Control – Remote-Zugriff ohne Authentifizierung via API-Endpoint |
Die schwerwiegendste Lücke, CVE-2026-25089, erlaubt einem nicht angemeldeten Angreifer, über eine manipulierte HTTP-Anfrage beliebige Betriebssystembefehle auf dem FortiSandbox-System auszuführen. Ein zweiter Fehler in FortiSandbox (CVE-2026-26083) fußt auf fehlender Autorisierungsprüfung und ermöglicht ebenfalls Code- oder Befehlsausführung ohne gültige Sitzung. In FortiAuthenticator erlaubt CVE-2026-44277 den unautorisierten Zugriff auf einen API-Endpunkt – ein Angreifer kann so die Zugriffskontrolle vollständig umgehen.
Bin ich betroffen?
Unternehmen sind betroffen, wenn sie eines der folgenden Produkte im Einsatz haben:
- FortiSandbox (alle von Fortinet als anfällig eingestuften Versionen)
- FortiSandbox Cloud
- FortiSandbox PaaS WEB UI
- FortiAuthenticator (alle von Fortinet als anfällig eingestuften Versionen)
Die genauen betroffenen Versionsbereiche sowie die jeweiligen Fixversionen sind in den offiziellen PSIRT-Advisories auf fortiguard.com/psirt dokumentiert. Administratoren sollten dort die spezifischen Versionsnummern für ihre installierten Produkte prüfen. Besonders kritisch ist die Exposition, wenn FortiSandbox oder FortiAuthenticator direkt aus dem Internet erreichbar sind oder sich in Netzwerkbereichen befinden, auf die nicht vertrauenswürdige Systeme Zugriff haben.
Zur grundlegenden Absicherung von Netzwerkdiensten und Firewall-Konfiguration empfiehlt sich ein Blick auf unsere Anleitung zur pfSense/OPNsense-Firewall-Erstkonfiguration.
Wie behebe ich das?
Fortinet empfiehlt das sofortige Einspielen der bereitgestellten Patches. Die Updates sind über das Fortinet Support Portal erhältlich:
- Anmeldung am Fortinet Support Portal (support.fortinet.com)
- Unter Downloads > Firmware Images das jeweilige Produkt auswählen (FortiSandbox bzw. FortiAuthenticator)
- Die in den PSIRT-Advisories genannte gepatchte Version herunterladen
- Update gemäß dem produktspezifischen Upgrade-Leitfaden von Fortinet einspielen
- Nach dem Update die Versionsnummer im Administrations-Interface verifizieren
Sollte ein sofortiges Update nicht möglich sein, sollte der Zugang zu den betroffenen Management-Interfaces und API-Endpunkten durch Firewall-Regeln auf vertrauenswürdige Quell-IP-Adressen beschränkt werden. Ist FortiAuthenticator von außen erreichbar, ist eine Netzwerksegmentierung oder vorgeschaltete Authentifizierung (z. B. VPN-Pflicht) als kurzfristige Maßnahme zu erwägen. Ergänzend bietet unsere Anleitung zur Einführung von Zwei-Faktor-Authentifizierung und MFA einen guten Überblick über den sicheren Betrieb von MFA-Infrastruktur.
Was bedeutet das für Unternehmen?
Die Kombination aus hohem CVSS-Score (bis 9,8) und fehlender Authentifizierungsvoraussetzung macht diese Schwachstellen zu Lücken der höchsten Prioritätsstufe. FortiSandbox dient in vielen Unternehmen als zentrale Analyse-Instanz für potenziell schadhafte Dateien und E-Mail-Anhänge. Eine erfolgreiche Kompromittierung dieses Systems würde nicht nur den Angriffserkennungs-Layer aushebeln, sondern einem Angreifer auch tiefe Einblicke in die Netzwerktopologie und analysierte Daten verschaffen.
Noch weitreichender sind die möglichen Folgen einer FortiAuthenticator-Kompromittierung: Dieses Produkt fungiert in vielen Unternehmen als zentrale Komponente für Zwei-Faktor-Authentifizierung (2FA/MFA). Fällt es in die Hände eines Angreifers, ist die gesamte MFA-Infrastruktur des Unternehmens gefährdet – Angreifer könnten Authentifizierungsprozesse manipulieren, Benutzerkonten übernehmen oder MFA-Mechanismen für privilegierte Zugänge unterlaufen.
SecurityWeek und The Hacker News berichten unabhängig voneinander über diese Patches als Teil einer koordinierten Disclosure vom 10. Juni 2026, bei der neben Fortinet auch Ivanti und SAP kritische Updates veröffentlichten. Fortinet bestätigte zum Zeitpunkt der Offenlegung keine bekannte aktive Ausnutzung – erfahrungsgemäß ändert sich das jedoch schnell, sobald technische Details zu kritischen RCE-Lücken öffentlich sind. Administratoren sollten daher nicht auf die nächste reguläre Wartung warten, sondern die Patches umgehend prüfen und einspielen.
